SSL-Lücke: Poodle beißt Windows Phone 7

Windows Phone 7 kann Mails nur mit dem uralten SSL-Protokoll Version 3 abholen. Das wird aber von vielen Mailservern wegen der Poodle-Lücke nicht mehr angeboten. Auf Abhilfe können Nutzer wohl nicht hoffen.

Artikel veröffentlicht am 12. Dezember 2014, 17:43 Uhr, Hanno Böck

2011 war es ein High-End-Gerät, heute lassen sich keine Mails mehr damit abrufen: das Lumia 800. (Bild: Kiwi Flickr, CC by 2.0)

Viele Nutzer von Mobiltelefonen mit dem Betriebssystem Windows Phone 7 können seit kurzem ihre Mails nicht mehr abrufen. Der Grund ist, dass das von Microsoft nicht mehr unterstützte System beim Mailabruf mit POP3 oder IMAP nur das alte SSL-Protokoll in Version 3 unterstützt. Das betrifft unter anderem das Nokia Lumia 800-Smartphone, welches 2011 als erstes Produkt nach der Kooperation von Microsoft und Nokia veröffentlicht wurde.

Nachdem die Poodle-Sicherheitslücke in SSL 3 entdeckt wurde, haben die meisten Serverbetreiber das alte SSL-Protokoll abgestellt. Das SSL 3-Protokoll ist uralt: Es wurde in den 90ern von Netscape entwickelt und eigentlich bereits 1999 durch TLS 1.0 abgelöst. Doch obwohl SSL 3 technisch völlig veraltet ist und zahlreiche Probleme hat, wurde es bis vor kurzem noch vielfach eingesetzt. Die IETF-TLS-Arbeitsgruppe bereitet gerade einen Standard vor, der die Abschaffung von SSL 3 vorsieht.

Microsoft hat inzwischen den Support für Windows Phone 7 eingestellt. Die letzte Version 7.8 wurde im März 2013 veröffentlicht, im Oktober dieses Jahres endete der Support offiziell. Somit ist vermutlich davon auszugehen, dass Nutzer dieser Geräte keine Updates mehr erhalten werden und das Problem ungelöst bleibt.

In Foren von Microsoft machen einige Nutzer ihrem Ärger Luft. Die Verärgerung der Nutzer ist nachvollziehbar. Auch wenn das System aktuell nicht mehr unterstützt wird, sollten Kunden davon ausgehen können, dass sie ein Produkt gekauft haben, das bei seiner Veröffentlichung dem aktuellen Stand der Technik entsprach. Windows Phone 7 wurde 2010 veröffentlicht, elf Jahre nach der Veröffentlichung von TLS 1.0.

Microsofts Entscheidung ist unverständlich

Warum Microsoft sich entschieden hat, das System ohne TLS-Support für den Mail-Abruf auszuliefern, ist schwer nachvollziehbar. Denn eigentlich unterstützt das System TLS. Der integrierte Webbrowser des Betriebssystems ist problemlos in der Lage, Webseiten mit TLS aufzurufen. Testen kann man das etwa mit den Webseiten von Twitter oder Github, die nach der Poodle-Lücke die Unterstützung für Verbindungen mit dem alten SSL-Protokoll abgeschaltet haben.

Für Nutzer von T-Online gibt es einen Workaround: Statt mit TLS können die Nutzer Mails mit einem Protokoll namens Exchange Activesync abrufen. Auch Freenet bietet diese Möglichkeit an. Exchange Activesync ist ein proprietäres, von Microsoft selbst entwickeltes Protokoll zum Mailabruf. Nutzer anderer Mailanbieter, die nur standardisierte Protokolle anbieten, haben diese Möglichkeit allerdings nicht. Das betrifft beispielsweise Kunden von GMX oder Web.de.

Wir haben bei der Pressestelle von Microsoft um eine Stellungnahme gebeten, jedoch keine Antwort erhalten.

Generell zeigt der Vorfall, wie schwierig es ist, alte Protokolle abzuschaffen. Das Problem sind dabei weniger die wirklich alten Geräte, sondern vielmehr Hersteller, die auch nach Jahren noch veraltete Protokolle einsetzen. Ähnliche Probleme dürften in Zukunft eher noch zunehmen, denn die protokollseitigen Angriffe auf SSL/TLS häufen sich. In Kürze wird es vermutlich einen Standard geben, der die Abschaltung von RC4 verlangt. Mittelfristig steht wohl auch die völlige Abschaffung von den problembehafteten CBC-Modi in TLS an. Das dürfte aber Probleme in viel größerem Ausmaß bereiten, denn damit könnten TLS 1.0 und 1.1 überhaupt nicht mehr genutzt werden. Nur TLS 1.2 bietet zurzeit wirklich sichere Verschlüsselungsverfahren an.